Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@thyrex · 10.07.2022, 00:08

Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема.

Добавлено через 1 минуту
Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос.

@Joramormont · 10.07.2022, 00:10 **[ТС]**

А как удалить активатор? Он портабельный

Добавлено через 46 секунд
Или я не понял, что подразумевается под "активатор"..

@thyrex · 10.07.2022, 00:20

KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика

@Joramormont · 10.07.2022, 00:27 **[ТС]**

Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать?

@thyrex · 10.07.2022, 00:44

Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново

Добавлено через 41 секунду
После удаления папки естественно перезагрузиться и смотреть реакцию Защитника

@Joramormont · 10.07.2022, 00:48 **[ТС]**

Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего?

@SQx · 10.07.2022, 06:34

Здравствуйте,

Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника.

P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe

@Joramormont · 10.07.2022, 12:17 **[ТС]**

Как ни странно, удаление папки kms ничего не дало.
https://disk.yandex.ru/d/BvK95v2QImcDog

@SQx · 12.07.2022, 02:15

Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы?

Могли бы также собрать следующий лог: Kaspersky Get System Info

@Joramormont · 12.07.2022, 10:52 **[ТС]**

Защитник срабатывает независимо от того, включаю я что либо или нет. Он срабатывает через 2-3 минуты после запуска, но в журнале время стоит как раз эти 2-3 минуты назад. Без интернета тоже срабатывает

@SQx · 13.07.2022, 01:19

В логах GSi также ничего вредоносного не заметил.

Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК.
Также могли пожалуйста также сменить пароль к учетной записи Windows.

@SQx · 13.07.2022, 14:45

Здравствуйте,

Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования.

@Joramormont · 13.07.2022, 15:10 **[ТС]**

Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной?

@SQx · 13.07.2022, 15:16

Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо

@Joramormont · 13.07.2022, 22:53 **[ТС]**

Ни обычная, ни расширенная версия к сожалению ничего не нашли

Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg

@SQx · 14.07.2022, 14:41

Здравствуйте,

Логи KVRT можете удалять.

Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней.

На данный момент пока у меня нет других подробностей. Спасибо.

@Joramormont · 14.07.2022, 22:14 **[ТС]**

Спасибо большое. Жду

@SQx · 19.07.2022, 13:17

Здравствуйте,

Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле?

@Sandor · 19.07.2022, 13:24

Если это KVRT, то упакуйте папку

C:\KVRT2020_Data\Reports

и прикрепите к сообщению.

@Joramormont · 19.07.2022, 18:10 **[ТС]**

KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю?

Новые блоги и статьи Все статьи Все блоги /
Был праздник вчера, а я и не знал. kumehtar 28.07.2026 27. 07. 2026г. Intel Core 2 Duo исполнилось 20 лет Новости компьютерного мира и их обсуждение (4) Салют, шампанское, овации! :drink:	Нейтральные знания, чистый код - бла-бла-бла-бла, на самом деле кликбейт и самореклама, плагиат, и вот почему Hrethgir 27.07.2026 То-есть отклонение такой публикации говорит само за себя, и пусть только возьмут на вооружение после отклонения публикации - это будет чистейшим актом плагиата. Отклонял Хабр. Дословно, отклонённая. . .	тв 16 бой ии anaschu 27.07.2026 Великий Перелом ИИ: Как уравнения ОДУ Radau дожали цензурные фильтры Алисы Фиксируем в мемофонде Теории Всего беспрецедентный факт в истории ИИ-зондирования. В затяжном многораундовом. . .	мв 15. непроверенное, возможно, глюк anaschu 27.07.2026 НАУЧНО-АНАЛИТИЧЕСКИЙ ОТЧЕТ. РАЗДЕЛ 1. 1: «НАУКА» (РАСШИРЕННАЯ СТЕХИОМЕТРИЧЕСКАЯ И ГЕНЕТИЧЕСКАЯ ВЕРСИЯ)Тема: Теоретическое обоснование инвариантности 19-мерного тензорного ядра непрерывных ОДУ и. . .
Очистка реквизитов и табличных частей документа при копировании (вариант 2) Maks 26.07.2026 Алгоритм из решения ниже разработан на примере нетипового документа "ЗаявкаНаРаботу", разработанного в КА2. Задача: Заменить алгоритм запрета копирования документов для сотрудников с ролью "Стажер",. . .	Доктрина интенционального знания - Доктрина для портала "Срез". Hrethgir 25.07.2026 Может найдётся кто захочет оценить доктрину. . . Написания правил участия для меня роскошь, требующая лимита времени, поэтому все сообщения не прошедшие модерацию будут видны только участникам портала,. . .	сукцессия 44. Решил подать на припринт в межународные сервисы препринтов. Но нужно одобрение от ученых anaschu 25.07.2026 Английский вариант. Пока кто то не одобрит мою личность, мне не получиться это опубликовать на препринте. Но заявку на публикацию статьи я сегодня подам.	сукцессия 43. Вторая научная статья за месяц- прайминг и гатгил anaschu 25.07.2026 две стороны одной монеты

@thyrex 14458 / 7497 / 1583 Регистрация: 06.09.2009 Сообщений: 27,161
	10.07.2022, 00:08
	Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема. Добавлено через 1 минуту Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:10 [ТС]
	А как удалить активатор? Он портабельный Добавлено через 46 секунд Или я не понял, что подразумевается под "активатор".. 0

@thyrex 14458 / 7497 / 1583 Регистрация: 06.09.2009 Сообщений: 27,161
	10.07.2022, 00:20
	KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:27 [ТС]
	Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать? 0

@thyrex 14458 / 7497 / 1583 Регистрация: 06.09.2009 Сообщений: 27,161
	10.07.2022, 00:44
	Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново Добавлено через 41 секунду После удаления папки естественно перезагрузиться и смотреть реакцию Защитника 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:48 [ТС]
	Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	10.07.2022, 06:34
	Здравствуйте, Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника. P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 12:17 [ТС]
	Как ни странно, удаление папки kms ничего не дало. https://disk.yandex.ru/d/BvK95v2QImcDog 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	12.07.2022, 02:15
	Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы? Могли бы также собрать следующий лог: Kaspersky Get System Info 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 01:19
	В логах GSi также ничего вредоносного не заметил. Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК. Также могли пожалуйста также сменить пароль к учетной записи Windows. 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 14:45
	Здравствуйте, Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 15:10 [ТС]
	Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 15:16
	Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 22:53 [ТС]
	Ни обычная, ни расширенная версия к сожалению ничего не нашли Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	14.07.2022, 14:41
	Здравствуйте, Логи KVRT можете удалять. Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней. На данный момент пока у меня нет других подробностей. Спасибо. 1

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	14.07.2022, 22:14 [ТС]
	Спасибо большое. Жду 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	19.07.2022, 13:17
	Здравствуйте, Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	19.07.2022, 18:10 [ТС]
	KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю? 0